اختبار الاختراق المدفوع بمتطلبات الامتثال
معظم اختبارات الاختراق تُشترى لأن جهة تنظيمية تطلبها. والإطار التنظيمي هو ما يحدد النطاق والتكرار - والأهم، وهو ما يُستهان به عادةً: الأدلة التي يجب أن تكون قادراً على تقديمها بعد الاختبار. هذه الصفحة تقارن الأطر التي أختبر وفقها، حتى تعرف أي واحد ينطبق عليك فعلاً.
مقارنة بين الأطر التنظيمية
كل إطار من هذه الأطر يفرض اختباراً أمنياً مستقلاً أو يتطلبه عملياً. والفروق المهمة هي: من يخضع له، وكم مرة، وما الذي يجب أن تكون قادراً على إثباته بعد ذلك.
المملكة العربية السعودية
- الضوابط الأساسية للأمن السيبراني (NCA ECC) - الحد الوطني الأدنى للجهات الحكومية ومتعاقديها والبنية التحتية الحساسة. الضابط 2-11 يغطي اختبار الاختراق: تحديد المتطلبات وتوثيقها واعتمادها، ثم تطبيقها، على أن يشمل النطاق الخدمات المتاحة عبر الإنترنت والبنية التحتية التقنية خلفها. والاختبار دوري.
- ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC) - عند تصنيف الأنظمة كأنظمة حساسة، يرتفع التكرار إلى كل ستة أشهر على الأقل. وهذا التغيير في التكرار هو ما يُفسد افتراضات الميزانية عادةً.
- إطار الأمن السيبراني للبنك المركزي السعودي (SAMA) - البنوك وشركات التأمين وشركات التمويل ومزودو خدمات المدفوعات الخاضعون لإشراف البنك المركزي السعودي. اختبار خارجي مستقل سنوياً كحد أدنى، يغطي الأنظمة المتاحة عبر الإنترنت وتطبيقات الويب والبنية التحتية للشبكة.
الإمارات العربية المتحدة
- NESA / معايير ضمان المعلومات الإماراتية - الجهات الاتحادية والبنية التحتية المعلوماتية الحرجة المصنّفة. تقييم الثغرات واختبار الاختراق يُنفَّذان ويُتابَعان، سنوياً عملياً، مع توثيق المعالجة ودليل إعادة الاختبار للنتائج الحرجة والعالية ضمن مهلة محددة. والمدققون يراجعون مؤهلات منفّذ الاختبار.
- تنظيم أمن المعلومات في دبي (ISR - DESC) - الجهات الحكومية في دبي ومورّدوها. يسري بالتوازي مع NESA؛ وارتباط واحد يمكن أن يُنتج أدلة للاثنين.
- مصرف الإمارات المركزي وDFSA وADGM - البنوك وشركات التمويل داخل الدولة، وشركات مركز دبي المالي العالمي، وشركات سوق أبوظبي العالمي. اختبار مستقل منتظم متوقع في الثلاثة جميعاً.
- VARA - مزودو خدمات الأصول الافتراضية في دبي. اختبار اختراق مستقل سنوياً على الأقل بموجب قواعد التقنية والمعلومات، مع اختبار قائم على المعلومات الاستخباراتية حين ترى VARA ذلك متناسباً.
- ADHICS - مقدمو الرعاية الصحية في أبوظبي ومورّدو التقنية لديهم.
الأطر الدولية
- PCI DSS - لكل من يخزّن بيانات حاملي البطاقات أو يعالجها أو ينقلها. المتطلب 11.4 يفرض اختبار اختراق داخلياً وخارجياً سنوياً على الأقل وبعد أي تغيير جوهري، إضافة إلى اختبار العزل الشبكي حيث يُستخدم لتقليص النطاق.
- SOC 2 - ليس إلزاماً تفصيلياً، لكن اختبار الاختراق هو الدليل الذي يتوقعه معظم المدققين مقابل CC4.1 وCC7.1، والعملاء من المؤسسات الكبرى يطلبونه في التقرير بشكل متزايد.
- ISO 27001 - إدارة الثغرات التقنية ضمن الملحق A، حيث يكون الاختبار هو الطريقة العملية لإثبات فاعلية الضابط.
ما يطلبه المدققون فعلياً
التقرير ضروري لكنه غير كافٍ. أربع وثائق تُكوِّن حزمة أدلة مكتملة، ومعظم المنشآت تصل ومعها الثانية فقط:
- وثيقة النطاق - ما جرى اختباره وما استُثني، ولماذا كان ذلك مناسباً للضابط. فاختبار استثنى الأنظمة التي يهتم بها الضابط يفشل مهما كانت جودته التقنية.
- التقرير - النتائج ودرجات الخطورة وتفاصيل إعادة الإنتاج، والربط بالضوابط المعنية.
- توثيق المعالجة - ما أصلحته ومتى، وما قبلته كمخاطرة مع ذكر السبب. قبول المخاطرة مسموح؛ أما عدم توثيق القرار فلا.
- دليل إعادة الاختبار - تأكيد أن النتائج الحرجة والعالية أُغلقت فعلاً، ضمن المهلة التي يحددها إطارك. ومهلة الـ90 يوماً في NESA هي التي توقع الناس، لأن اختباراً يُجرى في الشهر الحادي عشر لا يترك مجالاً لإعادة الاختبار قبل انتهاء الدورة السنوية.
وخطاب الإقرار - من نفّذ، وعلى أي نطاق، وفي أي تواريخ - يربط الحزمة معاً، وهو عادةً ما يُحفظ أو يُرسل إلى العميل. وكل ارتباط هنا يتضمن خطاباً كهذا.
الاستقلالية هي الشرط الذي يُساء فهمه
عدد من هذه الأطر يستخدم كلمة مستقل، ولها معنى محدد: لا يجوز أن ينفّذ الاختبار من بنى النظام محل الاختبار أو من يشغّله. ففريق أمني داخلي يختبر البنية التحتية لمنشأته يستوفي بعض الأطر دون غيرها؛ أما الفريق الذي كتب التطبيق ثم اختبره فلا يستوفي أياً منها.
هذا جزء كبير من سبب وجود المستشارين الخارجيين في هذا السوق، ويستحق التحقق منه مقابل التزامك تحديداً قبل افتراض أن قدراتك الداخلية تغطيه. والخطأ هنا مكلف، لأنك تكتشفه عند التدقيق لا عند تحديد النطاق.
كيف أحدد نطاق ارتباط امتثال
المحادثة الأولى تدور حول الالتزام لا حول التقنية: أي إطار، أي ضابط، ما الموعد النهائي، وهل تغيّر شيء جوهري منذ آخر اختبار. ومن ذلك أستطيع عادةً أن أخبرك خلال مكالمة واحدة ما إذا كان ارتباط واحد يغطي كل ما تخضع له، وما الذي يجب أن يشمله النطاق لإنتاج أدلة تصمد أمام التدقيق.
ما تحصل عليه: سعر ثابت قبل بدء أي شيء، تنفيذ الاختبار من الشخص نفسه الذي تحدثت إليه، إبلاغ فوري بأي نتيجة حرجة بدل مفاجأة في التقرير النهائي، تقرير مكتوب للإدارة والمهندسين معاً، دعم أثناء المعالجة، إعادة اختبار، وخطاب الإقرار. يوجد نموذج تقرير إن أردت رؤية الشكل أولاً (بالإنجليزية)، وصفحة الأسعار للشكل العام للأرقام.
حسب المنطقة
إن كنت في الخليج، فالصفحتان الإقليميتان تتوسعان في شرح أي الأنظمة تنطبق وكيف تتداخل: اختبار الاختراق في السعودية واختبار الاختراق في الإمارات. ولغير ذلك، تغطي صفحات الخدمات الاختبار نفسه، والتواصل المباشر هو أسرع طريق لإجابة واضحة عمّا تحتاجه.
أسئلة حول اختبارات الامتثال
نعم في الغالب، وهو أقل تكلفة بكثير من البديل. النطاق التقني يتداخل إلى حد كبير - السطح الخارجي، تطبيقات الويب وواجهات API، الشبكة الداخلية، Active Directory، والسحابة - فما يختلف بين الأطر هو الربط بالضوابط وطريقة إعداد التقرير، وليس الاختبار نفسه. الشرط الوحيد أن يكون النطاق مُحدداً على هذا الأساس منذ البداية: اختبار حُدد نطاقه لأغراض PCI وحدها لن ينتج الأدلة التي يطلبها NESA، رغم أن العمل التقني يكاد يكون متطابقاً. أخبرني بكل الأطر الخاضع لها عند تحديد النطاق، وسيربط التقرير النتائج بكل واحد منها.
لا، وهذا هو السبب الأكثر شيوعاً لرفض الأدلة. الفحص الآلي يطابق بصمات معروفة مع إصدارات معروفة ويُخرج قائمة؛ أما اختبار الاختراق فيربط النتائج ببعضها ليُظهر ما يمكن لمهاجم فعله بها فعلياً. والأطر التنظيمية صارت تنص على ذلك صراحةً، وأصبح المدققون بارعين في اكتشاف تقرير فحص آلي وُضع له غلاف اختبار اختراق - والعلامة الفارقة أن كل نتيجة فيه عبارة عن CVE ولا شيء منها مرتبط بالآخر. الفرق بالتفصيل هنا (بالإنجليزية).
أربعة أشياء، ومعظم المنشآت تحتفظ بالثاني فقط. وثيقة نطاق تبيّن ما جرى اختباره ولماذا كان هذا النطاق مناسباً. التقرير نفسه، بالنتائج وتصنيفات الخطورة وتفاصيل إعادة الإنتاج. توثيق معالجة النتائج الحرجة والعالية. وأخيراً دليل على إعادة الاختبار يؤكد أن الإصلاحات نجحت، ضمن المهلة التي يحددها إطارك - و90 يوماً هي المهلة الشائعة. وخطاب الإقرار الذي يوضح من نفّذ الاختبار وعلى أي نطاق وفي أي تواريخ هو ما يربط كل ذلك معاً، وهو عادةً الصفحة التي تُحفظ في الملف.
سنوياً هو الحد الأساسي الشائع - SAMA وNESA وVARA وPCI DSS جميعها تستقر عند هذا. وأمران يقصّران هذه المدة: تصنيف النظام كنظام حسّاس ضمن ضوابط الأنظمة الحساسة السعودية CSCC، وهو ما يفرض الاختبار كل ستة أشهر على الأقل؛ والتغيير الجوهري. فمعظم الأطر تقريباً تتطلب إعادة اختبار بعد أي تغييرات جوهرية على البيئة بغض النظر عن موعد آخر اختبار سنوي، ما يعني عملياً أن أي ترحيل كبير أو تطبيق جديد متاح على الإنترنت يُعيد ضبط العدّاد.
عادةً نعم، والأسباب متوقعة: النطاق كان أضيق من أن يغطي ما يتطلبه الضابط، أو نفّذ الاختبار نفس الفريق الذي بنى النظام فلم يكن مستقلاً، أو لم يُقدَّم دليل على إعادة الاختبار، أو قُدِّم فحص آلي على أنه اختبار اختراق. الأربعة قابلة للإصلاح، والعلاج عادةً ارتباط واحد محدد النطاق بشكل صحيح وليس برنامجاً كاملاً. أرسل لي ملاحظة المدقق والتقرير السابق وسأخبرك أيها كان السبب قبل أن تنفق أي شيء.
غير متأكد أي إطار ينطبق عليك؟
مكالمة قصيرة تكفي عادةً لتحديد ذلك - ولمعرفة ما إذا كان اختبار واحد يغطيها جميعاً.